해외 가상자산 거래소 잦은 해킹···국내선 보안 강화에 총력

폴리네트워크 이어 리퀴드 가상자산 탈취

국내 거래소 ISMS 인증에 자체 기준 강화

해외 가상자산(암호화폐) 거래소 해킹이 계속되는 가운데 국내 거래소들이 보안 강화에 열을 올리고 있다. 특정금융정보법(특금법)에서 의무화한 가상자산 사업자 등록을 위해 ISMS 인증을 받는 데에 더해 글로벌 보안 표준 획득과 자체적인 기준 강화 등으로 금융피해 사기를 방지하고 있다.

24일 업계에 따르면 이달 들어 폴리네트워크, 리퀴드 등 글로벌 가상자산 거래소가 대규모 해킹을 당했다. 가상자산 가격이 상승하면서 해커들의 거래소 공격이 다시 본격화된 것이다.

CNBC는 일본 최대 가상자산 거래소 리퀴드가 지난 19일 1100억원에 달하는 가상자산을 해킹당했다고 이날 보도했다. 리퀴드는 공식 트위터를 통해 거래소가 해킹당했다고 전하며 당분간 거래 서비스를 멈추겠다고 전했다. 리퀴드는 구체적인 피해상황을 조사 중이며, 관련해서 새로운 사실을 확인하는 대로 발표하겠다고 덧붙였다.

약 일주일 전인 11일엔 폴리네트워크가 7000억원에 달하는 가상자산을 해킹당했다. 일반 거래소와 달리 가상자산을 교환·예치해주는 디파이(탈중앙화 금융) 플랫폼으로, 해커들은 해당 플랫폼의 시스템 취약점을 노리고 이더리움을 비롯한 가상자산을 가져갔다.

해커들은 이례적으로 탈취한 가상자산 중 약 3000억원에 달하는 양을 폴리네트워크 측에 돌려준 데에 이어 24일 오늘 해킹한 가상자산을 모두 반납했다. 투자자들의 피해를 인식해서라는 분석도 가능하지만, 일각에선 탈취한 가상자산의 양이 많아 세탁이 힘들었을 것이라는 추측도 나온다.

CNN은 이를 두고 “역대 최대 규모 가상자산 탈취 사건”이라고 표현했다. 실제로 폴리네트워크의 피해액은 기존 최대 해킹 피해액인 2018년 일본 가상자산 거래소 코인체크의 5700억원보다 1300억원 많다.

국내 가상자산 거래소의 경우 특금법에 따라 ISMS 인증을 의무적으로 받고 있다. 국내 영업을 위해선 9월 24일까지 가상자산 사업자로 신고를 해야만 하는데, 신고 조건으로 실명계좌 발급과 함께 ISMS 인증이 더해졌기 때문이다.

업계에선 ISMS 인증이 꼭 필요하냐는 의견이 나오지만, 한편으론 추가 보안 정책이 필요하다는 목소리다. ISMS 인증에 더해 고객 자산 분리나 콜드월렛 보관 등의 조치가 더해져야 한다는 의견이다.

실제로 일부 국내 가상자산 거래소는 ISMS 인증 후에도 해킹 사고가 발생했다. 2018년 ISMS 인증에 더해 ISO 3개 부문 인증을 받은 업비트의 경우 2019년 약 590억원에 달하는 가상자산이 탈취됐다.

빗썸 역시 2018년 ISMS 인증과 ISO 인증 일부를 획득했지만, 2019년 145억원에 달하는 가상자산이 해킹되는 사고가 발생했다. 업비트와 빗썸은 이후 AI 기술 등 추가 보안 시스템을 더해 가상자산 탈취를 방지하고 있다.

빗썸·업비트와 함께 주요 거래소로 꼽히는 코인원의 경우 코빗과 함께 서비스 출시 이래로 단 한 번도 해킹을 당하지 않았다.

코인원은 지난 12일 가상자산 출금 인증 절차를 2단계로 강화했다. 스미싱을 비롯한 금융사기를 방지하기 위해 기존 구글 OTP 추가 채널 인증 사용자들에게 이메일 인증 절차를 더한 것이다. 해당 서비스는 현재 웹에만 적용 중이지만 추후 모바일 앱에도 도입할 계획이다.

또 해킹대회 수상 경력 등을 지닌 그레이해쉬의 보안 컨설팅을 도입해 모의 해킹 과정을 거쳐 발생 가능한 해킹을 파악하고 대비 중이다. SK인포텍의 금융기관 수준의 보안관제 서비스도 도입했다.

최근엔 뉴사이버시큐리티 사이버배상책임보험을 국내에서 처음으로 가입했다. 개인정보 유출과 데이터 손실 등 가상자산 거래 중에 일어날 수 있는 리스크를 관리하기 위해서다.

코빗 역시 정보보호 및 개인정보 관리체계 국제 표준인증(ISO) 4종을 이달 모두 획득했다. 기존에 획득한 3개 인증을 갱신하고, 국제 표준 개인정보보호 인증을 얻어 세계 주요 국가에서 도입 중인 개인정보 규제 요구사항에 준하는 보안 시스템을 갖춘 것이다.

업계 관계자는 “특금법의 ISMS 인증 의무 획득 규정 등이 국내 가상자산 거래소 사업자들에게 부담을 주는 것은 사실”이라며 “하지만 최근 가상자산 해킹 사례가 각국에서 나오는 만큼 어떤 형태로든 보안 강화의 중요성은 높아질 것”이라고 말했다.

이어 “ISMS 인증 외에도 투자자들의 피해를 방지하기 위한 자체적인 기준 강화가 각 거래소의 경쟁력으로도 이어질 것”이라고 덧붙였다.